Как користити Cloudflare "Under Attack" режим на сајту под DDoS нападом?

Cloudflare "Under Attack" режим на сајту под DDoS нападом представља хитну безбедносну поставку која филтрира бот саобраћај тако што посетиоцима приказује кратку безбедносну верификацију. Изаберите свој сајт у Cloudflare панелу и активирајте "Under Attack Mode" опцију из секције Security како бисте успорили интензивне HTTP/HTTPS захтеве у року од неколико минута, заштитили праве кориснике од приступа сајту и смањили оптерећење на вашем серверу. Међутим, овај режим није трајно решење; потребно га је комбиновати са правим DNS прокси подешавањем, WAF правилима, ограничењем брзине, кеш конфигурацијом и безбедношћу сервера.

У овом водичу ћемо корак по корак обрадити како да активирате Cloudflare "Under Attack" режим, када га треба користити, која подешавања подржавају режим и како безбедно да се вратите у нормалу након напада. Циљ је да се пружи практична контролна листа која се може применити у паничним ситуацијама и да се што пре поврати доступност вашег сајта.

Шта је Cloudflare "Under Attack" режим?

Cloudflare "Under Attack" режим је хитни ниво безбедности који нуди Cloudflare. Када је активиран, Cloudflare пролази посетиоце вашег сајта кроз кратку верификацију у прегледачу. Ова верификација обично траје неколико секунди и отежава аутоматским ботима, једноставним HTTP flood алатима или злонамерним клиентима изван прегледача да директно оптерете сајт.

Основна сврха овог режима је да ублажи нападе на нивоу апликације, односно Layer 7. На пример, ако се на главну страницу шаље хиљаде GET захтева у секунди, ако постоје интензивни POST покушаји на WordPress страници за пријаву, скупи упити на страници за претрагу или лажни саобраћај на страници за корпу, "Under Attack" режим пружа брзу прву интервенцију.

Важно је напоменути: "Under Attack" режим филтрира веб захтеве; међутим, ако је IP адреса вашег сервера директно мета, ако ваши сервиси ван Cloudflare проксија остају изложени или ако је напад на нивоу Layer 3/4, потребне су додатне мере. Стога је критично да DNS записи буду проксијирани преко Cloudflare, да се сакрије оригинална IP адреса и да се примене одговарајуће безбедносне мере на хостинг страни. За безбедан избор инфраструктуре можете се повезати са Услуге безбедног веб хостинга и Инсталација SSL сертификата.

Симптоми DDoS напада: Шта проверити пре него што активирате "Under Attack" режим?

Свака успореност није DDoS. Понекад неки неисправни додатак, блокирање базе података, хигх CPU интензивни cron задаци или погрешна кеш подешавања могу изазвати сличне резултате. Због тога је корисно направити брзу дијагнозу пре него што активирате "Under Attack" режим. Ипак, ако сервер има проблема са одговором, корисници добијају 502, 503, 504 грешке и у логовима постоји необична експлозија захтева, хитни режим не би требало одлагати.

Типични знаци DDoS напада

• У кратком времену приметно повећање саобраћаја, 5, 10 или 50 пута више од нормалног.
• Добијање стотина захтева у секунди за једну страницу или крајњу тачку.
• Саобраћај из различитих земаља али са сличним user-agent вредностима.
• Циљање скупих URL-ова као што су admin, login, search, cart у WordPress, WooCommerce, OpenCart или прилагођеним софтверима.
• Пуна оптерећеност CPU, RAM, PHP-FPM радника или MySQL везе на серверу.
• Изненада повећање 4xx и 5xx грешака на Cloudflare Analytics екрану.
• Прави корисници могу повремено приступити сајту, али бот саобраћај стално шаље захтеве.

На пример, ако е-трговински сајт који обично добија 2.000 захтева у минути, за 10 минута достигне 80.000 захтева у минути, а 70% захтева иде на страницу за корпу или претрагу, то је јасан знак Layer 7 напада. У овом сценарију, "Under Attack" режим треба активирати у првих 5 минута, а затим додати специфична WAF и правила ограничења за циљне URL-ове.

Када користити Cloudflare "Under Attack" режим?

Cloudflare "Under Attack" режим није стандардна безбедносна поставка која треба да буде стално активна. Јер показује кратки екран чекања и правим посетилацима. Ово може негативно утицати на корисничко искуство, посебно на страницама са фокусом на конверзију, у корацима плаћања или у структурама које користе API. Најбоља пракса је привремено активирати режим током напада и поново да подесите ниво безбедности када се саобраћај врати у нормалу.

Ситуације у којима је корисно користити

• Уколико на сајт долази интензиван и ненормалан HTTP/HTTPS саобраћај.
• Извори сервера се брзо истроше и 502/503 грешке се повећавају.
• Ако Cloudflare WAF није још конфигурисан са специјалним правилима и потребна је брза заштита.
• Ако бот саобраћај значајно превазилази прави кориснички саобраћај.
• Ако су напади усмерени на веб странице, форме, странице за пријаву или крајње тачке за претрагу.

Ситуације у којима треба бити опрезан

• Ако се интензивно користе мобилне апликације, провајдери плаћања, webhook или API саобраћај.
• Ако сте у периоду када критични ботови за претрагу скенирају ваш сајт.
• Ако ваши корпоративни корисници приступају из старих прегледача или ограничених мрежних окружења.
• Ако на вашем сајту постоје поддомене које нису иза Cloudflare проксија.

Ако се "Under Attack" режим примени на сајтовима са API саобраћајем, неке интеграције могу пропасти. Стога, ако је могуће, требало би планирати посебна WAF правила, allowlist или различите нивое безбедности за API поддомене. За детаљан водич о безбедности API-ја можете се упутити на Водич за безбедност АПИ-ja и ограничење брзине.

Како отворити Cloudflare "Under Attack" режим? Практична примена корак по корак

Следећи кораци представљају практичну контролну листу припремљену за брзу акцију у тренутку напада. Cloudflare интерфејс може с временом имати мале промене; али логика остаје иста: изаберете своју домену, подигнете ниво безбедности и верификујете долазни саобраћај преко Cloudflare.

1. Пријавите се на свој Cloudflare налог

Прво, пријавите се на свој Cloudflare налог и изаберите домену која је под нападом. Ако управљате више домена, уверите се да радите на исправној зони. Отварање "Under Attack" режима на погрешној домени само ће вас успорити, а напад ће наставити.

2. Проверите да ли су DNS записи проксирани

Да би "Under Attack" режим био ефикасан, веб саобраћај мора да пролази преко Cloudflare. У DNS секцији, уверите се да су A, AAAA и CNAME записи у стању проксираног, односно на наранџастом облаку. DNS записи у сивом облаку (DNS only) не пролазе кроз Cloudflare безбедносни слој. Посебно треба проверити www, корен домен и коришћене поддомене.

Ако је ваша оригинална IP адреса видљива на интернету, нападачи могу заобилазити Cloudflare и директно напасти сервер. Стога, дозвола само HTTP/HTTPS саобраћају из Cloudflare IP опсега на вашем серверу представља снажну додатну меру. Можете добити подршку од вашег провајдера хостинга у вези с тим или упутити на Како направити поставке ДНС-а за Cloudflare.

3. Активирајте "Under Attack Mode" из Security секције

Након што отворите одговарајућу домену у Cloudflare панелу, пронађите опцију "Under Attack Mode" у Security или Overview екрану. Када активирате ову опцију, Cloudflare почиње да показује кратку верификациону страницу посетиоцима вашег сајта. У неким панелима, овај подешавање може изгледати као "I am Under Attack" под Security Level.

Након активирања, промене се обично брзо активирају. У првим минутима, потребно је пратити Cloudflare Analytics, Security Events и потрошњу ресурса сервера. Ако се бројеви CPU и веза смањују, режим функционише. Међутим, ако стопа грешака наставља, потребно је написати додатна правила.

4. Тестирајте искуство правих корисника

Након активирања режима, тестирајте сајт из различитих мрежа. Треба тестирати главну страницу, страницу производа, страницу за пријаву и ток плаћања из мобилне мреже, канцеларијске мреже и, ако је могуће, из различите локације. Ако корисник може приступити сајту након екрана за верификацију, то је очекивано понашање. Ако корисници уђу у бесконачну верификациону петљу, треба прегледати подешавања за блокирање колачића, компатибилност прегледача или конфликте Cloudflare безбедносних правила.

5. Одредите URL-ове које напад циља

"Under Attack" режим пружа општу заштиту; али прави учинак се добија специјалним правилима за циљеве. Пронађите највише захтеване путеве из Cloudflare Security Events, Web Analytics, логова хостинга и логова апликација. На пример, URL-ови као што су /wp-login.php, /xmlrpc.php, /search, /cart, /api/login или /checkout могу бити под нападом.

Када се одреди циљни URL, акције се могу предузети према критеријумима као што су земља, user-agent, метод захтева, URI пут или бот резултати помоћу WAF Custom Rules. На пример, за одређену login крајњу тачку, IP-јима који шаљу више захтева од разумне количине у минути могу се применити managed challenge. За WordPress сајтове, Мере безбедности WordPress-а пружа природну интерну линковну прилику.

Разлике између "Under Attack" режима и других Cloudflare безбедносних опција

Cloudflare безбедносни алати служе различитим сврсама. "Under Attack" режим је брз и општи хитни филтер; WAF и Rate Limiting пружају циљаније, одрживије и кориснички балансније решења.

У пракси, добар приступ одбрани напредује овако: прво се смањује хитно оптерећење помоћу "Under Attack" режима, затим се анализира образац напада, додају се WAF и правила ограничења, а на крају се ојачава структура подешавањем кеша и оригиналних vатепард.

Препоручена додатна Cloudflare подешавања током напада

Иако се "Under Attack" режим може активирати једним дугметом, успех DDoS одбране зависи од подршке подешавања. Следеће препоруке представљају најчешће успешне примене у правим операцијама.

Креирајте циљану заштиту са WAF правилима

Cloudflare WAF вам омогућава да предузмете акције у зависности од одређених услова. На пример, можете применити challenge на POST захтеве који долазе само на страницу /wp-login.php из одређених земаља. Тако изолујете циљ напада без оптерећења свих страница.

• Отворите admin и login странице само за одређене земље или IP опсеге.
• Блокирајте неупотребљаване крајње тачке као што је XML-RPC.
• Примените managed challenge за сумњиве user-agent вредности.
• Ограничите клијенте који шаљу често захтеве на одређеном URI путу.

Тачно подесите ниво кеша

Током DDoS напада, ако оригинални сервер мора одговорити на сваког захтева, ресурси се брзо троше. Статички фајлови, слике, CSS, JavaScript и кеширане странице треба да се сервирају преко Cloudflare edge. У динамичким структурама као што је WordPress, пожељно је користити додатак за кеширање странице, Cloudflare кеш правила и одговарајуће кеш-control хедере.

На пример, на сајту који је фокусиран на вести или блог, странице приказане анонимним посетилацима могу бити кеширане 5 до 30 минута. Ова једноставна подешавања смањују TTFB вредности и олакшавају ресурсе хостинга, чак и у периодима без напада. За перформансе можете размотрити водич за убрзавање веб сајта.

Поставите реалне прагове за ограничење брзине

Ограничење брзине је веома ефикасно, посебно на скупим крајњим тачкама. Међутим, ако су прагови случајно постављени, прави корисници могу бити блокирани. На пример, на страници за претрагу производа, обичан корисник може направити 5-15 претрага у минути; 100 претрага у минути је ненормално. На страници за пријаву, 10 неуспелих покушаја у року од 5 минута је сумњиво у већини сценарија.

Пример приступа: за /wp-login.php, IP-јима који шаљу више од 10 захтева у минути могу се применити managed challenge, а IP-јима који шаљу више од 50 захтева у 5 минута може се применити привремена блокада. На API крајњим тачкама, требало би одабрати прецизније лимите на основу корисничке сесије, IP адресе, токена и методе.

Сакријте оригиналну IP адресу и ограничите са firewall-ом

Једна од најкритичнијих грешака током коришћења Cloudflare је остављање оригиналне IP адресе видљивом. Старе DNS записе, поддомене које раде са директним IP адресама, веб службе које се мешају са записима за е-пошту или компромитоване конфигурације могу омогућити нападачима да достигну сервер изван Cloudflare.

На серверу, отворите портове 80 и 443 само за Cloudflare IP опсеге. Такође, SSH, панел, база података и управљачки портови не би требало да буду доступни на интернету; требало би користити ограничење IP адреса, јаке лозинке, 2FA и, ако је могуће, VPN. За безбедност хостинга можете се повезати на Параметри безбедности cPanel и Конфигурација VPS ватрозида.

Специјалне тачке за WordPress, WooCommerce и корпоративне сајтове

Сваки веб сајт нема исту структуру саобраћаја. Блог сајт, WooCommerce продавница и SaaS панел могу произвести различите резултате са Cloudflare "Under Attack" режимом. Стога је потребно одредити критичне путеве у зависности од типа сајта.

WordPress сајтови

На WordPress-у, најчешће циљане датотеке су /wp-login.php и /xmlrpc.php. Ако не користите XML-RPC, обично је безбедно блокирати. За администраторски панел можете применити ограничења по земљи или IP опсегу. Поред тога, безбедносни додаци не смеју бити у конфликту са Cloudflare правилима; превише механизама за изазов у исто време могу увести корисника у циклус верификације.

WooCommerce продавнице

Странице за корпу, плаћање и рачун у WooCommerce захтевају посебну пажњу. Пошто су ове странице динамичне, не треба применити агресивну кеширање. Када је "Under Attack" режим активан, уверите се да callback или webhook URL-ови провајдера плаћања функционишу. Ако је потребно, IP опсези провајдера плаћања морају бити додати на allowlist или написати посебна правила за одговарајућу крајњу тачку.

Корпоративни и API сајтови

Корпоративни портали, CRM интеграције и мобилне апликације API-ји можда неће моћи да обрађују JavaScript challenge екране. У оваквим структурама, уместо да се "Under Attack" режим примени на целу домену, боље је управљати одвојеним API поддоменом. На пример, док се "Under Attack" отвара за www.example.com, могу се применити сигурност на бази токена, ограничење брзине и allowlist за api.example.com.

Метрике које треба пратити након активирања "Under Attack" режима

Да бисте утврдили да ли безбедносна мера функционише, потребно је да имате бројне метрике. Само отварање сајта није довољно; стопе грешака, оптерећење сервера и понашање правих корисника морају бити заједно процењени.

• Cloudflare Security Events: Показује колико захтева је изазвало challenge или block.
• HTTP статус кодови: Треба пратити промене у кодовима грешака 403, 429, 502, 503 и 504.
• Употреба CPU и RAM на серверу: Очекује се смањење након "Under Attack" режима.
• PHP-FPM и MySQL везе: Покажите опуштање на нивоу апликације.
• Ширина пропусности и број захтева: Потребно је упоредити обим саобраћаја са процентом филтрираних захтева.
• Конверзије правих корисника: Треба тестирати слање форми, наруџбине, пријаве и кораке плаћања.

На пример, након активирања "Under Attack" режима, ако укупан број захтева остане исти, али захтеви који долазе до оригиналног сервера смање за 60%, то значи да Cloudflare слој апсорбује значајно оптерећење. Ипак, ако је употреба MySQL CPU и даље висока, напад може активирати специфичну динамичку упит; у овом случају, логови апликације требају бити прегледани.

Како искључити "Under Attack" режим након напада?

Када се саобраћај након напада врати у нормалу, остављање "Under Attack" режима стално активним није препоручљиво за већину сајтова. Јер показивање додатне верификације сваком посетилацу може утицати на стопу конверзије, ефикасност скенирања и задовољство корисника. Процес искључивања треба бити контролисан колико и активирање.

Кораци за сигурно враћање у нормалу

• Чекајте да се ниво саобраћаја врати у нормалу најмање 30-60 минута.
• Проверите на Cloudflare Security Events екрану да ли су се смањили бројеви challenge и block.
• Пре искључивања "Under Attack" режима, уверите се да су активна циљна WAF и правила ограничења брзине.
• Смањите ниво безбедности на High или Medium, као балансиранији ниво.
• Тестирајте сајт из различитих уређаја и пратите стопу грешака 5xx.
• Током 24 сата пратите логове да бисте проверили да ли се напад поново појављује.

Добра пракса је да се након напада направи извештај о инциденту. У овом извештају треба навести време почетка напада, циљне URL-ове, најинтензивнији број захтева, предузете акције, ефикасна правила и трајна побољшања. Овај документ ће знатно скратити време интервенције у следећем инциденту.

Честе грешке и ствари којих треба избегавати

Током DDoS напада потребно је доносити брзе одлуке; али погрешна подешавања могу блокирати и праве кориснике. Следеће грешке се посебно често јављају под великим стресом.

• Мислити да ће "Under Attack" режим пружити заштиту без проксирања DNS записа.
• Оставити оригиналну IP адресу видљивом и не блокирати приступ изван Cloudflare IP-ова.
• Применити challenge на целу домену без тестирања API, webhook и адреса за повратак плаћања.
• Писати превелике WAF блок правила и блокирати праве купце.
• Агресивно кеширати странице које не би требало кеширати, као што су странице за корпу, плаћање или кориснички панел.
• Оставити режим активним недељама након напада.
• Донети одлуке само гледајући Cloudflare екран без прегледа сервера логова.

Посебно на е-трговинским сајтовима, блокирање повратних адреса плаћања може довести до значајног губитка прихода. Због тога је сигурније тестирати правила безбедности прво са логом или managed challenge акцијом, а затим прелазити на строже акције након што се уоче ефекти правила.

Како планирати отпорнију одбрану на Hostragons инфраструктури?

Cloudflare пружа снажну прву линију одбране; али успешна DDoS одбрана не завршава само на CDN-у. Хостинг инфраструктура, оптимизација софтвера, SSL конфигурација, DNS управљање и стратегија резервне копије треба да буду разматрани заједно. Основни приступ за сајт хостован на Hostragons-у требало би да буде: Cloudflare филтрира саобраћај, хостинг слој прихвата само чисти саобраћај, а апликација је оптимизована тако да не производи непотребно оптерећење на бази података.

Пре него што нови пројекат буде пуштен у рад, важно је управљати доменом са исправним DNS записима, без проблема инсталирати SSL сертификат и одабрати ресурсе веб сервера који су у складу са вашим профилом саобраћаја. У овом контексту, Проверa домена и регистрација домена, Пакети веб хостинга, решења корпоративног хостинга и Бесплатна SSL увереница линкови могу бити корисни корисницима.

За пројекте са високим саобраћајем или високим ризиком од напада, може се размотрити опција контролисаног VPS-а или управљивог сервера уместо стандардног деленог хостинга. Тако се firewall, веб сервер, PHP-FPM, Redis, object cache и подешавања базе података могу конфигурисати флексибилније. Међутим, без обзира на то која инфраструктура се одабере, Cloudflare "Under Attack" режим требало би да се постави искључиво као хитни алат; трајна безбедносна архитектура треба да буде подржана WAF-ом, анализом логова и редовним ажурирањем.

Брза контролна листа: Првих 15 минута током DDoS напада

Током напада, време је критично. Следећа листа сажима шта технички тим или власник сајта могу учинити у првих 15 минута.

• Уђите у Cloudflare панел и изаберите правилну домену.
• Проверите да ли су DNS записи у стању проксираног, тј. у наранџастом облаку.
• Активирајте "Under Attack" режим.
• Тестирајте главну страницу, пријаву, корпу, плаћање и API крајње тачке.
• Определите циљне URL-ове из Cloudflare Security Events екрана.
• Додајте специјална WAF или правила ограничења за највише нападнуте путеве.
• Проверите стање CPU, RAM, PHP-FPM и MySQL на серверу.
• Тестирајте да ли постоји директан приступ оригиналној IP адреси.
• Проверите да ли је потребна allowlist за провајдере плаћања, webhook-ове и критичне интеграције.
• Бележите све акције са временским ознакама.

Ако се ова листа редовно вежба, паника ће се смањити и квалитет интервенције ће се повећати током стварног напада. За велике сајтове, препоручује се да се овај процес документира као план за интервенцију у инцидентима.

Често постављана питања

Да ли Cloudflare "Under Attack" режим потпуно штити сајт?

Не. Cloudflare "Under Attack" режим је ефикасан за смањење бот и flood саобраћаја на HTTP/HTTPS нивоу; али самостално не пружа потпуну заштиту. DNS записи морају бити проксирани, оригинална IP адреса сакривена, а WAF правила, ограничења брзине, кеш и серверски firewall подешавања морају бити примењена.

Да ли "Under Attack" режим штети SEO?

Краткорочна употреба обично не узрокује озбиљну штету по SEO. Међутим, ако режим остане укључен дуго, ефикасност скенирања од стране претраживача и корисничко искуство могу бити погођени. Стога је након напада боље искључити режим и наставити са циљним безбедносним правилима.

Колико дуго "Under Attack" режим треба остати активан?

Може остати активан све док се интензитет напада не смањи; у пракси, препоручује се да се након нормализације саобраћаја прати најмање 30-60 минута, а затим да се постепено искључи. Пре искључивања, WAF и правила ограничења брзине морају бити спремна.

Да ли "Under Attack" режим утиче на API или платне системе?

Да, може утицати. Јер, неки API клијенти, webhook сервиси и системи за повратак плаћања не могу завршити верификацију засновану на прегледачу. Због тога критичне крајње тачке треба тестирати, а ако је потребно, треба дефинисати allowlist или посебна Cloudflare правила.

Да ли је потребно предузимати додатне мере на хостингу током коришћења Cloudflare?

Да. Cloudflare пружа снажну заштиту на првој линији; али IP адреса оригиналног сервера мора бити сакривена, firewall треба да дозволи само неопходан саобраћај, софтвер треба редовно ажурирати и конфигурација кеша треба да буде исправна. Безбедна хостинг инфраструктура је важан део DDoS отпорности.

Закључак

Cloudflare "Under Attack" режим је ефикасан хитни алат који брзо олакшава ситуацију током DDoS напада на сајт. Када се активира правилним DNS прокси подешавањем, смањује бот саобраћај, смањује оптерећење сервера и повећава шансу да прави корисници приступе сајту. Да бисте постигли најбоље резултате, овај режим требало би подржати WAF правилима, ограничењем брзине, оптимизацијом кеша и безбедношћу origin firewall-а.

Ако желите да ваш веб сајт функционише отпорније на нападе, редовно прегледајте своју инфраструктуру, DNS управљање и SSL конфигурацију. Испитивањем хостинг, домена и SSL решења која нуди Hostragons, можете створити сигурнију и одрживију основу за ваш сајт.